WORM_KELIHOS.SM

ワームは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

侵入方法

ワームは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• TROJ_KELIHOS.DLR

ワームは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}.240.36/flash2.exe

インストール

ワームは、以下のフォルダを作成します。

• %System Root%\All Users\Application Data\boost_interprocess
• %System Root%\All Users\Application Data\boost_interprocess\{current date and time}

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
SmartIndex = {malware path and file name}

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Google

ワームは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Google
ID = 50

HKEY_CURRENT_USER\Software\Google
ID2 = {random values}

HKEY_CURRENT_USER\Software\Google
ID3 = {random values}

HKEY_CURRENT_USER\Software\Google
AppID = {random characters}

バックドア活動

ワームは、以下のポートを開き、リモートコマンドを待機します。

• TCP port 1508
• TCP port 1541
• TCP port 80

その他

マルウェアは、ワーム活動の一部としてメッセージを作成します。ワームが送信するメッセージの詳細は、以下のとおりです。

マルウェアは、サーバに "GET" リクエストを送信し、自身の感染活動の情報を含む暗号化データをダウンロードします。

Eメールの詳細は以下のとおりです。

From（送信者）:＜名前＞
Subject（件名）:＜件名＞

Message Body(本文)：
＜名前＞＜メッセージ１＞＜メッセージ２＞
＜メッセージ３＞
＜不正なリンク＞

以下は、＜名前＞の例です。

• Abraham
• Adalbert
• Baldwin
• Barbara
• Candida
• Carol
• Daniel
• Dannie
• Eddie
• Edgar
• Fanny
• Felicia
• Gabriel
• Geffrey
• Hadrian
• Hannah
• Irene
• Isaac
• Jacob
• James
• Katharine
• Kathleen
• Lambert
• Laura
• Mabel
• Madeleine
• Nance
• Nancy
• Odette
• Olive
• Paddy
• Patricia
• Rachel
• Ralph
• Sadie
• Sally
• Teddy
• Terry
• Valentine
• Veronica
• Wallace
• Walter

以下は、＜件名＞の例です。

• Happy 2011!
• You've got a Happy New Year Greeting Card!
• I made an Ecard for U!
• Enjoy the New Year!
• Wishing you the Best New Year!

以下は、＜メッセージ１＞の例です。

• just mailed to you
• wants to show you
• has created for you

以下は、＜メッセージ２＞の例です。

• a postcard.
• an ecard.
• an electronic New Year greeting card.
• a digital postcard.
• a New Year ECard.
• an Online greeting card.

以下は、＜メッセージ３＞の例です。

• Click on the link below to see your greeting card:
• Collect your E-card here:
• It is waiting for you at our card site, go ahead and see it!
• To pick up your greeting card, click on the following link at anytime within the next 30 days:
• To view the ecard simply click the link below:

＜不正なリンク＞は、以下の不正プログラムをダウンロードするWebサイトを示すリンクです。

• 「TROJ_KELIHOS.DLR」

マルウェアは、以下の不正プログラムへのリンクを含むスパムメールを送信します。

• 「TROJ_KELIHOS.DLR」

「TROJ_KELIHOS.DLR」は、このマルウェアをダウンロードします。

上記のスパムメール内のリンクからダウンロードされるバイナリファイルは、どの感染コンピュータから収集されるかによって異なります。

マルウェアは、TCPポート80番を介してこのマルウェアに感染した別のコンピュータに接続した後、ピアツーピア（P2P）の仕組みを利用してこれらのコンピュータと通信します。このような通信方法は、通常、「HTTP2P」と呼ばれます。その後、ワームは、リモートコンピュータが記録したIPアドレスのリストを収集し、自身が接続するIPアドレスのリストに追加します。

マルウェアは、パラメータ「/loggs99」と実行された時に、自身の活動に関する情報を表示します。

マルウェアは、パラメータ「/loggs99」を実行し、自身の活動を記録します。マルウェアは、その後、このログファイルを以下のように作成します。

• {malware path and file name}.LOG

マルウェアは、ポート80番でリモートでの接続を受信すると、感染コンピュータのIPアドレスのリストを送信します。